Is er een duidelijke oplossing voor de privacyrisico’s van generatieve AI?

De privacyrisico’s van generatieve AI zijn zeer reëel. Van verhoogde surveillance en blootstelling tot meer effectieve phishing- en vishing-campagnes dan ooit, ondermijnt generatieve AI de privacy op grote schaal, ondiscrimineerd, terwijl het kwaadwilligen, of het nu criminelen, door de staat gesponsorde of door de overheid zijn, de middelen biedt die nodig zijn om individuen en groepen te targeten.

De meest voor de hand liggende oplossing voor dit probleem bestaat uit het collectief de rug toekeren van consumenten en gebruikers naar de hype rond AI, het eisen van transparantie van degenen die AI-functies ontwikkelen of implementeren, en effectieve regulering van de overheidsinstanties die hun activiteiten controleren. Hoewel dit het nastreven waard is, is het niet waarschijnlijk dat dit binnenkort zal gebeuren.

Wat resteert, zijn redelijke, zelfs als noodzakelijkerwijs onvolledige, benaderingen om de privacyrisico’s van generatieve AI te mitigeren. De langetermijn-, zekere, maar saaie voorspelling is dat hoe meer het publiek wordt opgeleid over gegevensbescherming in het algemeen, hoe kleiner de privacyrisico’s die worden veroorzaakt door de massale adoptie van generatieve AI.

Krijgen we allemaal het concept van generatieve AI goed?

De hype rond AI is zo alomtegenwoordig dat een enquête naar wat mensen bedoelen met generatieve AI nauwelijks nodig is. Natuurlijk vertegenwoordigen geen van deze “AI”-functies, -functionaliteiten en -producten daadwerkelijk voorbeelden van echte kunstmatige intelligentie, wat dat ook zou moeten zijn. Ze zijn eerder voornamelijk voorbeelden van machine learning (ML), diepe leer (DL) en grote taalmodellen (LLM’s).

Generatieve AI, zoals de naam al aangeeft, kan nieuwe inhoud genereren – of het nu gaat om tekst (inclusief programmeertalen), audio (inclusief muziek en menselijke stemmen) of video’s (met geluid, dialoog, cuts en camerawisselingen). Alles wordt bereikt door LLM’s te trainen om patronen in door mensen gegenereerde inhoud te identificeren, te matchen en te reproduceren.

Laten we ChatGPT als voorbeeld nemen. Net als veel LLM’s wordt het getraind in drie brede fasen:

• Pre-training: Tijdens deze fase wordt de LLM “gevoed” met tekstuele materiaal van het internet, boeken, academische tijdschriften en alles wat potentieel relevante of nuttige tekst bevat.
• Supervised instruction fine-tuning: Modellen worden getraind om meer coherent te reageren op instructies met behulp van hoogwaardige instructie-antwoordparen, meestal afkomstig van mensen.
• Reinforcement learning from human feedback (RLHF): LLM’s zoals ChatGPT ondergaan vaak deze extra trainingsfase, waarbij interacties met menselijke gebruikers worden gebruikt om het model te verfijnen voor typische gebruikscases.

Alle drie de fasen van het trainingsproces omvatten gegevens, of het nu gaat om enorme hoeveelheden vooraf verzamelde gegevens (zoals die gebruikt in de pre-training) of gegevens die in bijna realtime worden verzameld en verwerkt (zoals die gebruikt in RLHF). Het zijn die gegevens die het leeuwendeel van de privacyrisico’s met zich meebrengen die voortkomen uit generatieve AI.

Wat zijn de privacyrisico’s van generatieve AI?

Privacy wordt geschonden wanneer persoonlijke informatie met betrekking tot een individu (de gegevensonderwerp) beschikbaar wordt gesteld aan andere individuen of entiteiten zonder toestemming van de gegevensonderwerp. LLM’s worden getraind en fijngesteld op een uiterst breed scala aan gegevens die persoonlijke gegevens kunnen bevatten. Deze gegevens worden meestal verzameld uit openbaar beschikbare bronnen, maar niet altijd.

Zelfs als deze gegevens uit openbaar beschikbare bronnen worden verkregen, kan het feit dat ze worden geaggregeerd en verwerkt door een LLM en vervolgens in wezen doorzoekbaar worden gemaakt via de interface van de LLM, worden beschouwd als een verdere schending van de privacy.

De reinforcement learning from human feedback (RLHF)-fase compliceert de zaken. Tijdens deze trainingsfase worden echte interacties met menselijke gebruikers gebruikt om het antwoord van de LLM iteratief te corrigeren en te verfijnen. Dit betekent dat een gebruikersinteractie met een LLM kan worden bekeken, gedeeld en verspreid door iedereen met toegang tot de trainingsgegevens.

In de meeste gevallen is dit geen schending van de privacy, aangezien de meeste LLM-ontwikkelaars privacybeleid en voorwaarden hebben die gebruikers verplichten om toestemming te geven voordat ze met de LLM interageren. Het privacyrisico ligt hier eerder in het feit dat veel gebruikers zich niet bewust zijn van het feit dat ze hebben ingestemd met dergelijke gegevensverzameling en -gebruik. Dergelijke gebruikers zijn waarschijnlijk om privé- en gevoelige informatie te onthullen tijdens hun interacties met deze systemen, zonder te beseffen dat deze interacties noch vertrouwelijk noch privé zijn.

Op deze manier komen we bij de drie belangrijkste manieren waarop generatieve AI privacyrisico’s met zich meebrengt:

• Grote voorraden aan pre-trainingsgegevens die mogelijk persoonlijke informatie bevatten, zijn kwetsbaar voor compromissen en exfiltratie.
• Persoonlijke informatie die is opgenomen in pre-trainingsgegevens, kan worden gelekt naar andere gebruikers van dezelfde LLM via hun antwoorden op vragen en instructies.
• Persoonlijke en vertrouwelijke informatie die wordt verstrekt tijdens interacties met LLM’s, belandt bij de medewerkers van de LLM’s en mogelijk bij derde partijen, van waaruit het kan worden bekeken of gelekt.

Dit zijn allemaal risico’s voor de privacy van gebruikers, maar de kans dat persoonlijk identificeerbare informatie (PII) in verkeerde handen terechtkomt, lijkt nog steeds vrij laag. Dat is tenminste totdat gegevensbrokers in beeld komen. Deze bedrijven specialiseren zich in het opsporen van PII en het verzamelen, aggregeren en verspreiden ervan, zo niet rechtstreeks uitzenden.

Met PII en andere persoonlijke gegevens die een soort commodity zijn geworden en de gegevensbrokerindustrie die is ontstaan om daarvan te profiteren, is het waarschijnlijk dat elke persoonlijke gegevens die “buiten” komen, worden opgepikt door gegevensbrokers en wijd en zijd worden verspreid.

De privacyrisico’s van generatieve AI in context

Voordat we naar de risico’s kijken die generatieve AI met zich meebrengt voor de privacy van gebruikers in de context van specifieke producten, diensten en bedrijfspartnerschappen, laten we een stap terug doen en een meer gestructureerde blik werpen op het volledige scala aan generatieve AI-risico’s. In een artikel voor de IAPP, namen Moraes en Previtali een gegevensgedreven benadering om Solove’s “A Taxonomy of Privacy” uit 2006 te verfijnen, waarbij de 16 privacyrisico’s die daarin werden beschreven, werden teruggebracht tot 12 AI-specifieke privacyrisico’s.

Dit zijn de 12 privacyrisico’s die zijn opgenomen in de herziene taxonomie van Moraes en Previtali:

• Surveillance: AI verergert surveillance-risico’s door de omvang en alomtegenwoordigheid van persoonlijke gegevensverzameling te vergroten.
• Identificatie: AI-technologieën maken automatische identiteitskoppeling mogelijk over verschillende gegevensbronnen, waardoor risico’s met betrekking tot persoonlijke identiteitsblootstelling toenemen.
• Aggregatie: AI combineert verschillende stukken informatie over een persoon om conclusies te trekken, waardoor risico’s met betrekking tot privacy-inbreuken ontstaan.
• Frenologie en fysiognomie: AI leidt persoonlijkheid of sociale kenmerken af uit fysieke kenmerken, een nieuwe risicocategorie die niet in Solove’s taxonomie voorkomt.
• Secundair gebruik: AI verergert het gebruik van persoonlijke gegevens voor doeleinden andere dan de oorspronkelijk bedoelde door gegevens te hergebruiken.
• Uitsluiting: AI maakt het erger om gebruikers niet te informeren of geen controle te geven over hoe hun gegevens worden gebruikt door ondoorzichtige gegevenspraktijken.
• Onveiligheid: AI’s gegevensvereisten en opslagpraktijken lopen het risico op gegevenslekkage en ongeoorloofde toegang.
• Blootstelling: AI kan gevoelige informatie onthullen, zoals via generatieve AI-technieken.
• Vertekening: AI’s vermogen om realistische maar valse inhoud te genereren, verhoogt de verspreiding van valse of misleidende informatie.
• Openbaarmaking: AI kan ongepaste gegevensdeling veroorzaken wanneer het additionele gevoelige informatie afleidt uit ruwe gegevens.
• Verhoogde toegankelijkheid: AI maakt gevoelige informatie toegankelijker voor een breder publiek dan de bedoeling is.
• Inbraak: AI-technologieën schenden de persoonlijke levenssfeer of eenzaamheid, vaak door surveillance-maatregelen.

Dit is een vrij alarmerende lezing. Het is belangrijk op te merken dat deze taxonomie, in zijn voordeel, rekening houdt met de neiging van generatieve AI om hallucinaties te produceren – om feitelijk onjuiste informatie te genereren en met vertrouwen te presenteren. Dit fenomeen, zelfs als het zelden echte informatie onthult, is ook een privacyrisico. De verspreiding van valse en misleidende informatie beïnvloedt de privacy van het onderwerp op manieren die subtieler zijn dan in het geval van accurate informatie, maar het beïnvloedt het toch.

Laten we naar enkele concrete voorbeelden kijken van hoe deze privacyrisico’s in de praktijk werken in de context van echte AI-producten.

Directe interacties met tekstgebaseerde generatieve AI-systemen

De eenvoudigste casus is die waarin een gebruiker rechtstreeks met een generatieve AI-systeem zoals ChatGPT, Midjourney of Gemini interageert. De interacties van de gebruiker met veel van deze producten worden gelogd, opgeslagen en gebruikt voor RLHF (reinforcement learning from human feedback), supervised instruction fine-tuning en zelfs de pre-training van andere LLM’s.

Een analyse van de privacybeleid van veel van deze diensten onthult ook andere gegevensdelingsactiviteiten die worden ondersteund door heel andere doeleinden, zoals marketing en gegevensbrokerage. Dit is een heel ander type privacyrisico dat wordt veroorzaakt door generatieve AI: deze systemen kunnen worden gekarakteriseerd als enorme gegevensleidingen, die gegevens verzamelen die door gebruikers worden verstrekt, evenals die welke worden gegenereerd door hun interacties met de onderliggende LLM.

Interacties met ingebedde generatieve AI-systemen

Sommige gebruikers kunnen met generatieve AI-interfaces interageren die zijn ingebed in het product dat ze ogenschijnlijk gebruiken. De gebruiker kan weten dat hij een “AI”-functie gebruikt, maar hij is minder waarschijnlijk om te weten wat dit inhoudt in termen van gegevensbeschermingsrisico’s. Wat naar voren komt bij ingebedde systemen, is het gebrek aan waardering voor het feit dat persoonlijke gegevens die met de LLM worden gedeeld, in handen van ontwikkelaars en gegevensbrokers kunnen belanden.

Er zijn twee gradaties van gebrek aan bewustzijn hier: sommige gebruikers realiseren zich dat ze met een generatieve AI-product interageren; en sommigen denken dat ze het product gebruiken waarin de generatieve AI is ingebed of toegankelijk is. In beide gevallen kan de gebruiker technisch gezien hebben ingestemd met de voorwaarden en condities die verbonden zijn aan hun interacties met het ingebedde systeem.

Andere partnerschappen die gebruikers blootstellen aan generatieve AI-systemen

Sommige bedrijven integreren generatieve AI-interfaces in hun software op manieren die minder voor de hand liggen, waardoor gebruikers – en informatie delen – met derden interageren zonder het te beseffen. Gelukkig is “AI” zo’n effectief verkoopargument geworden dat het onwaarschijnlijk is dat een bedrijf dergelijke implementaties geheim zou houden.

Een ander fenomeen in deze context is de groeiende backlash die dergelijke bedrijven hebben ondervonden nadat ze hebben geprobeerd om gebruikers- of klantgegevens te delen met generatieve AI-bedrijven zoals OpenAI. Het gegevensverwijderingsbedrijf Optery, bijvoorbeeld, heeft onlangs een beslissing teruggedraaid om gebruikersgegevens te delen met OpenAI op basis van opt-out, wat betekent dat gebruikers standaard zijn ingeschreven voor het programma.

Niet alleen waren klanten snel om hun teleurstelling te uiten, maar het gegevensverwijderingsdienst van het bedrijf werd ook prompt van de lijst met aanbevolen gegevensverwijderingsdiensten van Privacy Guides verwijderd. Optery heeft zijn beslissing snel en transparant teruggedraaid, maar het is de algemene backlash die hier belangrijk is: mensen beginnen de risico’s te waarderen van het delen van gegevens met “AI”-bedrijven.

De Optery-zaak is een goed voorbeeld hier, omdat zijn gebruikers in zekere zin aan de voorhoede staan van de groeiende scepsis rondom zogenaamde AI-implementaties. Het soort mensen dat kiest voor een gegevensverwijderingsdienst, zijn ook typisch degenen die aandacht besteden aan wijzigingen in de voorwaarden en het privacybeleid.

Bewijs van een groeiende backlash tegen generatieve AI-gegevensgebruik

Het zijn niet alleen privacybewuste consumenten die bezorgdheid hebben geuit over generatieve AI-systemen en de daarmee verbonden gegevensbeschermingsrisico’s. Op het wetgevende niveau heeft de EU zijn Artificial Intelligence Act, die risico’s categoriseert op basis van hun ernst, met gegevensbescherming als expliciet of impliciet criterium voor het toekennen van ernst in de meeste gevallen. De wet adresseert ook de kwestie van geïnformeerde toestemming die we eerder bespraken.

De VS, die notoir langzaam is om uitgebreide, federale gegevensbeschermingswetgeving aan te nemen, heeft tenminste enkele beschermingsmaatregelen dankzij Executive Order 14110. Opnieuw staan gegevensbeschermingszorgen centraal in de doelstellingen van de Order: “irresponsible use [of AI technologies] could exacerbate societal harms such as fraud, discrimination, bias, and disinformation” – allemaal gerelateerd aan de beschikbaarheid en verspreiding van persoonlijke gegevens.

Terugkerend naar het consumentenniveau, is het niet alleen bijzonder privacybewuste consumenten die hebben teruggevochten tegen privacy-invasieve generatieve AI-implementaties. Microsofts inmiddels beruchte “AI-gebaseerde” Recall-functie, bestemd voor zijn Windows 11-besturingssysteem, is een voorbeeld. Zodra de omvang van de privacy- en beveiligingsrisico’s werd onthuld, was de backlash groot genoeg om de techgigant te laten terugpeddelen. Helaas lijkt Microsoft niet te hebben opgegeven van het idee, maar de initiële publieke reactie is niettemin bemoedigend.

Blijvend bij Microsoft, is zijn Copilot-programma breed bekritiseerd voor zowel gegevensbeschermings- als gegevensbeveiligingsproblemen. Aangezien Copilot is getraind op GitHub-gegevens (voornamelijk broncode), ontstond er ook controverse over Microsofts vermeende schendingen van programmeurs- en ontwikkelaarssoftware-licentieovereenkomsten. Het is in gevallen zoals deze dat de grenzen tussen gegevensbescherming en intellectueel eigendomsrechten beginnen te vervagen, waardoor eerstgenoemde een monetaire waarde krijgt – iets wat niet gemakkelijk kan worden gedaan.

Misschien is de grootste indicatie dat AI een rode vlag wordt in de ogen van consumenten de lauwe, zo niet uitdrukkelijk wantrouwige, publieke reactie die Apple kreeg op zijn initiële AI-lancering, met name met betrekking tot gegevensdelingsovereenkomsten met OpenAI.

De schijnoplossingen

Er zijn stappen die wetgevers, ontwikkelaars en bedrijven kunnen nemen om enkele van de risico’s te verlichten die worden veroorzaakt door generatieve AI. Dit zijn de gespecialiseerde oplossingen voor specifieke aspecten van het overkoepelende probleem; geen van deze oplossingen is afzonderlijk voldoende, maar allemaal samen kunnen ze een echt verschil maken.

• Gegevensminimalisatie. Het minimaliseren van de hoeveelheid verzamelde en opgeslagen gegevens is een redelijk doel, maar het staat rechtstreeks haaks op de wens van generatieve AI-ontwikkelaars om trainingsgegevens.
• Transparantie. Gezien de huidige stand van de techniek in ML, kan dit in veel gevallen niet eens technisch haalbaar zijn. Inzicht in welke gegevens worden verwerkt en hoe bij het genereren van een bepaald resultaat, is een manier om privacy te waarborgen in interacties met generatieve AI.
• Anonimisatie. Elk PII dat niet kan worden uitgesloten van trainingsgegevens (via gegevensminimalisatie) moet worden geanonimiseerd. Het probleem is dat veel populaire anonimisatie- en pseudonimisatietechnieken gemakkelijk te doorbreken zijn.
• Gebruikersinstemming. Het vereisen van gebruikersinstemming voor de verzameling en deling van hun gegevens is essentieel, maar te open voor misbruik en te vatbaar voor consumentenluiheid om effectief te zijn. Het is geïnformeerde instemming die hier nodig is, en de meeste consumenten, goed geïnformeerd, zouden niet instemmen met dergelijke gegevensdeling, dus de stimulansen zijn verkeerd.
• Beveiliging van gegevens in transit en in rust. Een andere basis van zowel gegevensbescherming als gegevensbeveiliging, het beschermen van gegevens door middel van cryptografische en andere middelen, kan altijd effectiever worden gemaakt. Generatieve AI-systemen hebben echter de neiging om gegevens te lekken via hun interfaces, waardoor dit slechts een deel van de oplossing is.
• Afdwingen van auteursrecht en IE-recht in de context van zogenaamde AI. ML kan opereren in een “black box”, waardoor het moeilijk, zo niet onmogelijk, is om te traceren welke auteursrechtelijk beschermde materialen en IE in welk generatief AI-resultaat terechtkomen.
• Audits. Een andere cruciale slagbuismaatregel die wordt gehinderd door de black-box-aard van LLM’s en de generatieve AI-systemen die ze ondersteunen. Deze inherente beperking wordt verergerd door de gesloten-bron-natuur van de meeste generatieve AI-producten, waardoor audits worden beperkt tot die welke op het gemak van de ontwikkelaar worden uitgevoerd.

Al deze benaderingen van het probleem zijn geldig en noodzakelijk, maar geen van hen is afzonderlijk voldoende. Ze vereisen allemaal wetgevende steun om enige invloed te hebben, wat betekent dat ze gedoemd zijn om achter te blijven bij de voortdurende evolutie van dit dynamische veld.

De duidelijke oplossing

De oplossing voor de privacyrisico’s van generatieve AI is noch revolutionair, noch spannend, maar als het tot zijn logische conclusie wordt genomen, kunnen de resultaten zowel het een als het ander zijn. De duidelijke oplossing houdt in dat alledaagse consumenten zich bewust worden van de waarde van hun gegevens voor bedrijven en de onbetaalbare waarde van gegevensbescherming voor zichzelf.

Consumenten zijn de bronnen en motoren achter de privé-informatie die de moderne surveillancemaatschappij aandrijft. Zodra een kritische massa consumenten begint om de stroom van privé-gegevens naar de openbare sfeer te stuiten en aansprakelijkheid van bedrijven te eisen die handelen in persoonlijke gegevens, zal het systeem zichzelf moeten corrigeren.

Het bemoedigende aspect van generatieve AI is dat, in tegenstelling tot huidige reclame- en marketingmodellen, het niet noodzakelijkerwijs persoonlijke informatie hoeft te omvatten op enig moment. Pre-training- en fine-tuninggegevens hoeven geen PII of andere persoonlijke gegevens te bevatten, en gebruikers hoeven deze niet bloot te stellen tijdens hun interacties met generatieve AI-systemen.

Om hun persoonlijke gegevens te verwijderen uit trainingsgegevens, kunnen mensen rechtstreeks naar de bron gaan en hun profielen verwijderen van de verschillende gegevensbrokers (inclusief mensenzoeksites) die openbare records aggregeren en deze op de open markt brengen. Persoonlijke gegevensverwijderingsservices automatiseren het proces, waardoor het snel en gemakkelijk wordt. Natuurlijk heeft het verwijderen van persoonlijke gegevens uit de databases van deze bedrijven veel andere voordelen en geen nadelen.

Mensen genereren ook persoonlijke gegevens wanneer ze met software, inclusief generatieve AI, interageren. Om de stroom van deze gegevens te stoppen, zullen gebruikers meer bewust moeten zijn dat hun interacties worden geregistreerd, bekeken, geanalyseerd en gedeeld. Hun opties voor het vermijden hiervan komen neer op het beperken van wat ze onthullen aan online-systemen en het gebruik van on-device, open-source LLM’s waar mogelijk. Mensen doen over het algemeen al een goede job in het moduleren van wat ze in het openbaar bespreken – we moeten deze instincten alleen uitbreiden naar het domein van generatieve AI.